HTML密码框仅遮掩字符而不加密，安全依赖HTTPS、后端校验及合理字段设计；autocomplete="new-password"更可靠，需配合inputmode="text"、autocapitalize="none"及POST+HTTPS提交。
HTML密码框本身不提供安全输入能力，它只做字符遮掩；真正的安全输入必须依赖HTTPS、后端校验和合理字段设计。
type="password"只是UI遮掩，不是加密
浏览器把输入内容显示为●●●，但input.value在JS里始终是明文字符串。开发者工具里执行document.querySelector('input[type="password"]').value，立刻能看到原始密码。这说明：
- 它不加密、不哈希、不防抓包
- DOM中值可被任意脚本读取（包括第三方SDK或恶意注入）
- 如果页面走HTTP，密码会在网络层裸奔，圆点毫无意义
autocomplete="new-password"比autocomplete="off"更可靠
现代浏览器（Chrome 86+、Edge 90+、Firefox 90+）基本忽略autocomplete="off"对type="password"的控制——这不是bug，是主动保护用户密码管理器的正常使用。真正有效的做法是：
- 注册/改密页用
autocomplete="new-password"，提示浏览器“这是新密码，别填旧的” - 登录页“当前密码”字段用
autocomplete="current-password" - “确认密码”字段建议用
name="confirm-password"，多数密码管理器不会自动填充它 - 避免
name="password"这种通用名，可改用name="user_auth_token"降低误匹配风险（需同步改后端接收逻辑）
移动端软键盘异常？缺了inputmode和autocapitalize
iOS Safari 和 Android Chrome 在type="password"上默认可能弹出数字键盘或强制首字母大写，导致用户输错。根本原因不是密码类型本身，而是没声明输入意图：
立即学习“前端免费学习笔记（深入）”；
- 加
inputmode="text"明确告诉系统：“请弹全键盘” - 加
autocapitalize="none"禁用首字母自动大写（密码通常区分大小写） - 别加
spellcheck="false"——对密码框无效，还可能干扰安卓输入法
pattern和minlength只是体验优化，后端必须重校验
pattern="(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).{8,}"或minlength="8"只能在提交前给用户即时反馈，但绕过前端验证极其简单（禁用JS、手动发POST、curl命令）。所以：
- 前端限制不能替代后端逻辑
- 服务端必须重新解析
request.body.password并做完整强度校验 - 若用Web Crypto API在客户端加盐，密钥不能硬编码，也不能从用户输入派生（易被逆向）
最容易被忽略的一点：表单提交方式必须是method="POST"，且action指向HTTPS地址。否则，哪怕所有HTML属性都设对了，密码也会在URL或请求体中明文暴露。安全不是某个标签的事，是一整条链的事。
